Tre giorni di tempo per due falle critiche
Il 20 agosto 2026 CISA ha aggiunto due vulnerabilità di TrueConf Server al suo catalogo delle vulnerabilità sfruttate attivamente, dando alle agenzie federali statunitensi tempo fino al 23 agosto per applicare la patch.
Entrambe le falle hanno gravità critica, entrambe sono già sfruttate attivamente, e nessuna richiede una password: chi raggiunge la porta 4307 di TrueConf Server via rete può compromettere il server senza mai autenticarsi.
Cosa fanno davvero CVE-2026-72529 e CVE-2026-72530
La prima falla, CVE-2026-72529, è un'autenticazione mancante: TrueConf Server espone sulla porta 4307/TCP una funzione non documentata che permette a un aggressore remoto non autenticato di eseguire uno script arbitrario, senza alcuna credenziale.
| CVE | Tipo | Versioni interessate | Corretta in |
|---|---|---|---|
| CVE-2026-72529 | Autenticazione mancante, esecuzione di codice remoto senza autenticazione tramite una funzione non documentata sulla porta 4307/TCP | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 e precedenti | 5.3.9 / 5.4.9 / 5.5.5 |
| CVE-2026-72530 | Code injection che permette di uscire dalla sandbox del server ed eseguire codice sull'host | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 e precedenti | 5.3.9 / 5.4.9 / 5.5.5 |
La seconda falla, CVE-2026-72530, è una code injection che permette a un aggressore già arrivato sul server di uscire dal suo ambiente isolato ed eseguire codice arbitrario direttamente sulla macchina host, trasformando un bug contenuto nel controllo totale del server.
Kaspersky risale allo sfruttamento attivo tramite installer infetti
Il team ICS CERT di Kaspersky ha documentato aggressori che sfruttano esattamente questa catena di vulnerabilità per sostituire gli installer legittimi del client TrueConf con versioni avvelenate contenenti le backdoor PhantomCore e PhantomGraph.
Kaspersky ha attribuito la campagna a un gruppo che traccia come Head Mare e ha dichiarato che gli installer avvelenati sono stati rilevati per la prima volta a luglio 2026, distribuiti tramite server TrueConf compromessi verso partecipanti a riunioni che si fidavano dell'aggiornamento.
La promessa di sovranità incontra una porta sul retro aperta
TrueConf promuove la propria installazione on-premise come risposta per le organizzazioni che vogliono tenere le videoconferenze completamente fuori dall'infrastruttura cloud statunitense, rivolgendosi direttamente a enti governativi, sanitari e finanziari con regole rigide di localizzazione dei dati.
Questa promessa non è sbagliata, ma è incompleta: un server autogestito, pensato per evitare la dipendenza da un fornitore cloud straniero, richiede la stessa disciplina di patching che quel fornitore avrebbe altrimenti garantito, e un buco senza autenticazione su una porta esposta a internet è un punto di partenza peggiore della maggior parte degli account cloud mal configurati.
Cosa fare prima di lunedì
Ogni organizzazione che esegue TrueConf Server in versione 5.3.x, 5.4.x o 5.5.x dovrebbe controllare subito la propria versione e aggiornare immediatamente a 5.3.9, 5.4.9 o 5.5.5, poiché tutte e tre le serie contengono già la correzione.
Quando un aggiornamento immediato non è possibile, limitare l'accesso di rete alla porta 4307 e controllare i log recenti del server alla ricerca di chiamate alla funzione non documentata sono le misure minime fino all'applicazione della patch.
Da leggere ora: La falla di SAP Commerce Cloud sfruttata prima della patch | Due falle SharePoint ora incatenano fino a RCE totale
